如何解决将日志与 Splunk 中的模式相关联
我有一个调用实际脚本的包装脚本 & 有 2 个与之对应的日志文件 & 我需要一种方法来关联它们并在单个 splunk 搜索失败的运行中显示它们。
例如，我有一个名为 wrapper__22238.log 的日志，其中有状态消息和一个 runID，它将是与子日志相关联的关键字：worker.log
示例 wrapper_JOB1_22238.log :
2021-05-25 05:19:59.817 INFO : Got response: Job: JOB1,runID: 1001-751b81bf-9d79-4283-b700-74e0c10c472a,Timeout: 7199,Request Time: 2021-05-25 04:19:03.333,Start Time: 2021-05-25 04:19:04.726,Status: RUNTIME_ERROR,Total Time: 3645869 ms
worker.log :
[Date=25/May/2021 04:19:06] [THREAD=61] [runID=1001-751b81bf-9d79-4283-b700-74e0c10c472a] [STEP=Write to Target] [status=ERROR] [Error copying the file to the destination /app/logis/internal/: /app/logis/internal/carrier_1456.out.gz (No such file or directory)]
是否可以通过仅根据作业名称（上面的 JOB1）进行搜索来检索两个日志？
假设我在包装器状态调用中总是有 runID: 并且工作日志将在每个事务中标记。
感谢您的任何帮助。
解决方法
是的，有办法做到这一点。也许不止一个，但这里有一个。
(index=foo source=wrapper_JOB1_22238.log Job=bar) OR (index=baz source=worker.log)
| stats values(*) as * by runID
它从两个日志中读取事件，按作业过滤包装器事件。然后它根据共享的 runID 值组合这些事件。
,下面的子查询方法对我有帮助：
(index=foo source=*worker* [search index=foo source=wrapper_JOB1* | stats max(runID) as runID] status=ERROR)
OR
(index=foo source=wrapper_JOB1*)
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。